挂载持久卷后容器报权限不足 fsGroup 该加在哪

应用启动时写日志目录失败，提示权限被拒绝，换成空目录挂载就正常。日志里能对上时间点，这种反而好排。

挂载的卷属主与容器运行用户不匹配，默认没有做属组继承。这一点先确认清楚，后面就不用反复试。

securityContext:
  fsGroup: 1000
  runAsUser: 1000
# 验证
kubectl exec -it 名称 -- ls -ld /data

这次卡住的地方就在「K8s 卷权限」这一环，单独把它拎出来验证，别和其他改动混在同一次发布里。线上出问题先对时间点，跟发布、备份、任务执行的时刻排一排，能省掉一半功夫。

日志级别临时调高可以，记得改回去，长期开着既占磁盘又掩盖真问题。权限不要一口气开到最大，先加到够用再往上试，范围小才好收。

把复现步骤压到三条以内，交给同事也能跑出来，才算真的定位清楚。改动写完就同步给同事，下一个人踩同一个坑，成本还是你的。

处理上按这个顺序：在 Pod 安全上下文里声明属组；或调整镜像内目录权限；确认存储类支持该配置。

结果对不对很好判断，容器内目标目录可写，日志能正常落盘。